Аналитический центр Synthient совместно с Infoblox опубликовал отчёт, в котором раскрываются масштабы злоупотреблений резидентными прокси-сетями. Исследователи систематически мониторили SDK-экосистему и исходящий трафик крупнейших провайдеров, чтобы оценить реальную долю вредоносной активности. Основной вывод: несмотря на активное продвижение AI как якобы главного сценария использования, подавляющая часть трафика по-прежнему направлена на мошенничество с рекламой, перебор учётных записей и атаки на электронную коммерцию.
Описание
Резидентные прокси - это IP-адреса реальных пользователей, которые без их ведома используются для маршрутизации чужого трафика. Провайдеры таких сетей часто утверждают, что их услуги необходимы для легального сбора данных и обучения моделей искусственного интеллекта. Однако данные Synthient показывают, что это лишь способ "отмыть" репутацию. Согласно телеметрии, за один только май было зафиксировано около 9,2 миллиона уникальных доменов и поддоменов, атакованных через резидентные прокси. Основная нагрузка легла на высокоценные цели - Ticketmaster, Google, Walmart и аналогичные гиганты.
Ключевую роль в этой экосистеме играют заражённые пользовательские устройства. Исследователи оценивают, что около 70-80% прокси-SDK работают на операционной системе Android. Причина - низкий уровень безопасности на платформе и возможность массово внедрять вредоносные компоненты через пиратские приложения и нелицензионные телеприставки. Такие устройства, как BadBox, попадают к потребителям через популярные онлайн-площадки, после чего владельцы сами того не зная передают свой интернет-канал в распоряжение злоумышленников.
Предоставленный анализ исходящего трафика ботнета Popa, одного из крупнейших в сегменте резидентных прокси, демонстрирует чёткое распределение целей. Почти 41% обращений приходится на видеосервисы и медиа-платформы. Исследователи с высокой вероятностью объясняют это кампаниями по захвату учётных записей (Account Takeover, ATO) с последующей перепродажей премиум-подписок на теневых рынках. Ещё 9,3% трафика связано с рекламными сетями - в первую очередь Appsflyer, Google и Microsoft. В этих случаях мошенники накручивают показы, используя резидентные IP, чтобы имитировать поведение реальных пользователей и получать неоправданные выплаты.
Данные по другому крупному SDK - от IPIDEA (также известного как HK Network) - подтверждают ту же картину. В феврале основную долю составляли запросы к рекламным платформам, внутренним серверам LAN-эксплуатации (xd[.]resi[.]to) и почтовым серверам для перебора паролей (imap[.]comcast[.]net). Это подчёркивает сильное влияние единичных крупных заказчиков на структуру вредоносного трафика. После недавнего отключения IPIDEA компанией Google подобные схемы никуда не исчезли - их лишь подхватили другие провайдеры.
Отдельного внимания заслуживает метод проникновения на устройства. Вслед за нашумевшей кампанией Kimwolf, в которой злоумышленники использовали резидентные прокси для удалённого управления заражёнными хостами, появились новые ботнеты - Potassium, Katana и Drifter. Все они активно эксплуатируют порт 5555, используемый Android Debug Bridge (ADB) для отладки. По данным Synthient, этот порт стал третьим по популярности в ботнете Popa после стандартных 80 и 443. Атакующие сканируют незащищённые Android-устройства - в первую очередь телеприставки и умные телевизоры, - после чего внедряют программы-роботы и подключают их к прокси-сетям.
Между самими злоумышленниками идёт жёсткая конкуренция. Они устанавливают собственные honeypot-ловушки, удаляют конкурирующие ботнеты и блокируют доступ другим группам. В результате количество уязвимых устройств сокращается, а трафик перераспределяется между наиболее агрессивными игроками. Этот процесс сопровождается техническими сложностями: часто из-за конфликтов вредоносного кода устройства "кирпичатся", то есть полностью выходят из строя.
Для защиты от резидентных прокси Synthient рекомендует отказаться от использования только IP-репутационных списков. Необходимо внедрять поведенческий анализ трафика и решения, распознающие прокси-активность в реальном времени. Полезными инструментами названы JA4+ для анализа отпечатков TLS, проприетарная платформа Helios, а также DNS- и IP-блоклисты от Infoblox. Пользователям советуют проверять, не участвует ли их домашний IP в прокси-сети, через специальный сервис, и при положительном результате немедленно аудировать свои устройства.
Экосистема резидентных прокси остаётся почти нерегулируемой. Провайдеры зарабатывают на массовом сборе IP-адресов ничего не подозревающих пользователей. Они активно пользуются услугами реселлеров, чтобы снять с себя ответственность, а заражённые устройства продолжают генерировать трафик для атак на корпоративные сети, рекламу и интернет-магазины. Организациям необходимо уже сегодня усиливать политики сетевой безопасности, поскольку объём угрозы будет только расти.
Индикаторы компрометации
IPv4
- 103.214.71.127
- 103.83.87.122
- 109.71.252.183
- 117.55.203.189
- 124.198.131.24
- 140.233.190.47
- 141.11.103.158
- 141.227.139.189
- 144.31.94.207
- 158.94.208.131
- 162.141.92.173
- 162.141.92.192
- 162.141.92.3
- 166.88.225.196
- 166.88.225.255
- 176.65.139.115
- 176.65.139.143
- 176.65.139.170
- 176.65.139.173
- 176.65.139.182
- 176.65.139.188
- 176.65.139.253
- 176.65.139.26
- 176.65.139.54
- 176.65.139.64
- 176.65.139.79
- 176.65.139.89
- 176.65.139.90
- 176.65.148.37
- 178.18.147.96
- 185.231.155.250
- 192.109.200.47
- 193.25.217.35
- 195.178.110.204
- 205.237.106.127
- 205.237.106.27
- 205.237.110.243
- 31.56.209.8
- 37.16.74.24
- 37.49.224.15
- 37.49.229.42
- 45.13.239.7
- 45.142.195.105
- 45.153.34.26
- 45.194.92.2
- 45.202.247.123
- 45.205.1.33
- 45.9.156.250
- 45.9.2.162
- 5.175.215.102
- 5.189.129.198
- 5.39.216.137
- 51.254.156.25
- 62.84.172.147
- 66.29.156.104
- 83.168.110.191
- 84.32.71.134
- 85.11.167.101
- 85.204.125.76
- 85.239.151.41
- 87.121.84.18
- 87.121.84.243
- 87.121.84.27
- 92.112.124.25
- 92.112.126.188
- 92.112.127.184
- 92.38.186.110
- 93.95.115.175
- 94.156.152.234
- 94.249.228.214
Domain Port Combination
- s01687.byte-buff.com:6000
- s01687.house-spirit.com:6000
- s01687.novel-layer.com:6000
- s01687.star-layer.com:6000
- s01688.byte-buff.com:6000
- s01688.house-spirit.com:6000
- s01688.novel-layer.com:6000
- s01688.star-layer.com:6000
- s01689.byte-buff.com:6000
- s01689.house-spirit.com:6000
- s01689.novel-layer.com:6000
- s01689.star-layer.com:6000
- s01690.byte-buff.com:6000
- s01690.house-spirit.com:6000
- s01690.novel-layer.com:6000
- s01690.star-layer.com:6000
- s01691.byte-buff.com:6000
- s01691.house-spirit.com:6000
- s01691.novel-layer.com:6000
- s01691.star-layer.com:6000
- s01692.byte-buff.com:6000
- s01692.house-spirit.com:6000
- s01692.novel-layer.com:6000
- s01692.star-layer.com:6000
- s1408.byte-buff.com:6000
- s1408.house-spirit.com:6000
- s1408.novel-layer.com:6000
- s1408.star-layer.com:6000
- s1694.byte-buff.com:6000
- s1694.house-spirit.com:6000
- s1694.novel-layer.com:6000
- s1694.star-layer.com:6000
- s1696.byte-buff.com:6000
- s1696.house-spirit.com:6000
- s1696.novel-layer.com:6000
- s1696.star-layer.com:6000
- s17.house-spirit.com:6000
- s17.novel-layer.com:6000
- s1702.byte-buff.com:6000
- s1702.house-spirit.com:6000
- s1702.novel-layer.com:6000
- s1702.star-layer.com:6000
- s1708.byte-buff.com:6000
- s1708.house-spirit.com:6000
- s1708.novel-layer.com:6000
- s1708.star-layer.com:6000
- s1710.byte-buff.com:6000
- s1710.house-spirit.com:6000
- s1710.novel-layer.com:6000
- s1710.star-layer.com:6000
- s1726.byte-buff.com:6000
- s1726.house-spirit.com:6000
- s1726.novel-layer.com:6000
- s1726.star-layer.com:6000
- s1728.byte-buff.com:6000
- s1728.house-spirit.com:6000
- s1728.novel-layer.com:6000
- s1728.star-layer.com:6000
- s1730.byte-buff.com:6000
- s1730.house-spirit.com:6000
- s1730.novel-layer.com:6000
- s1730.star-layer.com:6000
- s1732.byte-buff.com:6000
- s1732.house-spirit.com:6000
- s1732.novel-layer.com:6000
- s1732.star-layer.com:6000
- s1734.byte-buff.com:6000
- s1734.house-spirit.com:6000
- s1734.novel-layer.com:6000
- s1734.star-layer.com:6000
- s1736.byte-buff.com:6000
- s1736.house-spirit.com:6000
- s1736.novel-layer.com:6000
- s1736.star-layer.com:6000
- s1738.byte-buff.com:6000
- s1738.house-spirit.com:6000
- s1738.novel-layer.com:6000
- s1738.star-layer.com:6000
- s1740.byte-buff.com:6000
- s1740.house-spirit.com:6000
- s1740.novel-layer.com:6000
- s1740.star-layer.com:6000
- s1742.byte-buff.com:6000
- s1742.house-spirit.com:6000
- s1742.novel-layer.com:6000
- s1742.star-layer.com:6000
- s1744.byte-buff.com:6000
- s1744.house-spirit.com:6000
- s1744.novel-layer.com:6000
- s1744.star-layer.com:6000
- s1746.byte-buff.com:6000
- s1746.house-spirit.com:6000
- s1746.novel-layer.com:6000
- s1746.star-layer.com:6000
- s1747.byte-buff.com:6000
- s1747.house-spirit.com:6000
- s1747.novel-layer.com:6000
- s1747.star-layer.com:6000
- s1748.byte-buff.com:6000
- s1748.house-spirit.com:6000
- s1748.novel-layer.com:6000
- s1748.star-layer.com:6000
- s1750.byte-buff.com:6000
- s1750.house-spirit.com:6000
- s1750.novel-layer.com:6000
- s1750.star-layer.com:6000
- s1752.byte-buff.com:6000
- s1752.house-spirit.com:6000
- s1752.novel-layer.com:6000
- s1752.star-layer.com:6000
- s1754.byte-buff.com:6000
- s1754.house-spirit.com:6000
- s1754.novel-layer.com:6000
- s1754.star-layer.com:6000
- s1756.byte-buff.com:6000
- s1756.house-spirit.com:6000
- s1756.novel-layer.com:6000
- s1756.star-layer.com:6000
- s1758.byte-buff.com:6000
- s1758.house-spirit.com:6000
- s1758.novel-layer.com:6000
- s1758.star-layer.com:6000
- s1760.byte-buff.com:6000
- s1760.house-spirit.com:6000
- s1760.novel-layer.com:6000
- s1760.star-layer.com:6000
- s1762.byte-buff.com:6000
- s1762.house-spirit.com:6000
- s1762.novel-layer.com:6000
- s1762.star-layer.com:6000
- s1764.byte-buff.com:6000
- s1764.house-spirit.com:6000
- s1764.novel-layer.com:6000
- s1764.star-layer.com:6000
- s1766.byte-buff.com:6000
- s1766.house-spirit.com:6000
- s1766.novel-layer.com:6000
- s1766.star-layer.com:6000
- s18.byte-buff.com:6000
- s18.house-spirit.com:6000
- s18.novel-layer.com:6000
- s18.star-layer.com:6000
- s1807.byte-buff.com:6000
- s1807.house-spirit.com:6000
- s1807.novel-layer.com:6000
- s1807.star-layer.com:6000
- s1810.byte-buff.com:6000
- s1810.house-spirit.com:6000
- s1810.novel-layer.com:6000
- s1810.star-layer.com:6000
- s1812.byte-buff.com:6000
- s1812.house-spirit.com:6000
- s1812.novel-layer.com:6000
- s1812.star-layer.com:6000
- s1814.byte-buff.com:6000
- s1814.house-spirit.com:6000
- s1814.novel-layer.com:6000
- s1814.star-layer.com:6000
- s1816.byte-buff.com:6000
- s1816.house-spirit.com:6000
- s1816.novel-layer.com:6000
- s1816.star-layer.com:6000
- s1818.star-layer.com:6000
- s1820.byte-buff.com:6000
- s1820.house-spirit.com:6000
- s1820.novel-layer.com:6000
- s1820.star-layer.com:6000
- s1822.byte-buff.com:6000
- s1822.house-spirit.com:6000
- s1822.novel-layer.com:6000
- s1822.star-layer.com:6000
- s1824.byte-buff.com:6000
- s1824.house-spirit.com:6000
- s1824.novel-layer.com:6000
- s1824.star-layer.com:6000
- s1826.byte-buff.com:6000
- s1826.house-spirit.com:6000
- s1826.novel-layer.com:6000
- s1826.star-layer.com:6000
- s1828.byte-buff.com:6000
- s1828.house-spirit.com:6000
- s1828.novel-layer.com:6000
- s1828.star-layer.com:6000
- s1830.byte-buff.com:6000
- s1830.house-spirit.com:6000
- s1830.novel-layer.com:6000
- s1830.star-layer.com:6000
- s1832.byte-buff.com:6000
- s1832.house-spirit.com:6000
- s1832.novel-layer.com:6000
- s1832.star-layer.com:6000
- s1834.byte-buff.com:6000
- s1834.house-spirit.com:6000
- s1834.novel-layer.com:6000
- s1834.star-layer.com:6000
- s1836.byte-buff.com:6000
- s1836.house-spirit.com:6000
- s1836.novel-layer.com:6000
- s1836.star-layer.com:6000
- s1838.byte-buff.com:6000
- s1838.house-spirit.com:6000
- s1838.novel-layer.com:6000
- s1838.star-layer.com:6000
- s1840.byte-buff.com:6000
- s1840.house-spirit.com:6000
- s1840.novel-layer.com:6000
- s1840.star-layer.com:6000
- s1842.byte-buff.com:6000
- s1842.house-spirit.com:6000
- s1842.novel-layer.com:6000
- s1842.star-layer.com:6000
- s1844.byte-buff.com:6000
- s1844.house-spirit.com:6000
- s1844.novel-layer.com:6000
- s1844.star-layer.com:6000
- s1846.byte-buff.com:6000
- s1846.house-spirit.com:6000
- s1846.novel-layer.com:6000
- s1846.star-layer.com:6000
- s1848.byte-buff.com:6000
- s1848.house-spirit.com:6000
- s1848.novel-layer.com:6000
- s1848.star-layer.com:6000
- s1850.byte-buff.com:6000
- s1850.house-spirit.com:6000
- s1850.novel-layer.com:6000
- s1850.star-layer.com:6000
- s1851.byte-buff.com:6000
- s1851.house-spirit.com:6000
- s1851.novel-layer.com:6000
- s1851.star-layer.com:6000
- s1852.byte-buff.com:6000
- s1852.house-spirit.com:6000
- s1852.novel-layer.com:6000
- s1852.star-layer.com:6000
- s1854.byte-buff.com:6000
- s1854.house-spirit.com:6000
- s1854.novel-layer.com:6000
- s1854.star-layer.com:6000
- s1856.byte-buff.com:6000
- s1856.house-spirit.com:6000
- s1856.novel-layer.com:6000
- s1856.star-layer.com:6000
- s1858.byte-buff.com:6000
- s1858.house-spirit.com:6000
- s1858.novel-layer.com:6000
- s1858.star-layer.com:6000
- s1860.byte-buff.com:6000
- s1860.house-spirit.com:6000
- s1860.novel-layer.com:6000
- s1860.star-layer.com:6000
- s1861.byte-buff.com:6000
- s1861.house-spirit.com:6000
- s1861.novel-layer.com:6000
- s1861.star-layer.com:6000
- s1862.byte-buff.com:6000
- s1862.house-spirit.com:6000
- s1862.novel-layer.com:6000
- s1862.star-layer.com:6000
- s1863.byte-buff.com:6000
- s1863.house-spirit.com:6000
- s1863.novel-layer.com:6000
- s1863.star-layer.com:6000
- s1864.byte-buff.com:6000
- s1864.house-spirit.com:6000
- s1864.novel-layer.com:6000
- s1864.star-layer.com:6000
- s1865.byte-buff.com:6000
- s1865.house-spirit.com:6000
- s1865.novel-layer.com:6000
- s1865.star-layer.com:6000
- s1866.byte-buff.com:6000
- s1866.house-spirit.com:6000
- s1866.novel-layer.com:6000
- s1866.star-layer.com:6000
- s1868.byte-buff.com:6000
- s1868.house-spirit.com:6000
- s1868.novel-layer.com:6000
- s1868.star-layer.com:6000
- s1870.byte-buff.com:6000
- s1870.house-spirit.com:6000
- s1870.novel-layer.com:6000
- s1870.star-layer.com:6000
- s1872.byte-buff.com:6000
- s1872.house-spirit.com:6000
- s1872.novel-layer.com:6000
- s1872.star-layer.com:6000
- s1874.byte-buff.com:6000
- s1874.house-spirit.com:6000
- s1874.novel-layer.com:6000
- s1874.star-layer.com:6000
- s1876.star-layer.com:6000
- s1878.star-layer.com:6000
- s1880.byte-buff.com:6000
- s1880.house-spirit.com:6000
- s1880.novel-layer.com:6000
- s1880.star-layer.com:6000
- s1882.star-layer.com:6000
- s1884.byte-buff.com:6000
- s1884.house-spirit.com:6000
- s1884.novel-layer.com:6000
- s1884.star-layer.com:6000
- s2.house-spirit.com:6000
- s2.novel-layer.com:6000
- s205.star-layer.com:6000
- s206.star-layer.com:6000
- s212.star-layer.com:6000
- s227.house-spirit.com:6000
- s227.novel-layer.com:6000
- s230.house-spirit.com:6000
- s230.novel-layer.com:6000
- s231.house-spirit.com:6000
- s231.novel-layer.com:6000
- s232.house-spirit.com:6000
- s232.novel-layer.com:6000
- s254.byte-buff.com:6000
- s254.novel-layer.com:6000
- s254.star-layer.com:6000
- s269.byte-buff.com:6000
- s269.novel-layer.com:6000
- s269.star-layer.com:6000
- s3.house-spirit.com:6000
- s3.novel-layer.com:6000
- s31.house-spirit.com:6000
- s31.novel-layer.com:6000
- s32.house-spirit.com:6000
- s32.novel-layer.com:6000
- s34.house-spirit.com:6000
- s34.novel-layer.com:6000
- s35.house-spirit.com:6000
- s35.novel-layer.com:6000
- s4.byte-buff.com:6000
- s4.novel-layer.com:6000
- s4.star-layer.com:6000
- s46.house-spirit.com:6000
- s46.novel-layer.com:6000
- s47.house-spirit.com:6000
- s47.novel-layer.com:6000
- s5.byte-buff.com:6000
- s5.novel-layer.com:6000
- s5.star-layer.com:6000
- s6.byte-buff.com:6000
- s6.novel-layer.com:6000
- s6.star-layer.com:6000
- s63.house-spirit.com:6000
- s63.novel-layer.com:6000
- s66.house-spirit.com:6000
- s66.novel-layer.com:6000
- s68.house-spirit.com:6000
- s68.novel-layer.com:6000
- s7.byte-buff.com:6000
- s7.novel-layer.com:6000
- s7.star-layer.com:6000
- s72.house-spirit.com:6000
- s72.novel-layer.com:6000
- s89.house-spirit.com:6000
- s89.novel-layer.com:6000
- s90.house-spirit.com:6000
- s90.novel-layer.com:6000
- s91.house-spirit.com:6000
- s91.novel-layer.com:6000
- s93.house-spirit.com:6000
- s93.novel-layer.com:6000
- s94.house-spirit.com:6000
- s94.novel-layer.com:6000
URL
- http://103.83.87.122/bins/xnxnxnxnxnxnxnxnarmv7xnxn
- http://117.55.203.189/install.sh
- http://117.55.203.189/jewishgoldowner/arm7
- http://140.233.190.47/TerraBot.apk
- http://140.233.190.47/terrabot/023782pler.arm64
- http://140.233.190.47/terrabot/023782pler.arm7
- http://141.227.139.189:2222
- http://144.31.94.207:5000/download?d=armv7l&k=gj289gj23487h23j89tj3489gj3489g
- http://162.141.92.173:1337
- http://162.141.92.192:1337
- http://162.141.92.3:1337
- http://162.141.92.3:25565/arm7
- http://162.141.92.3:81/armz
- http://162.141.92.3:82/arma
- http://166.88.225.196/i/android.sh
- http://166.88.225.196/i/cat.sh
- http://166.88.225.196/vc7/android.sh
- http://166.88.225.255/5/android.sh
- http://166.88.225.255/hx/android.sh
- http://176.65.139.115:8081/cdn/content/bins.sh
- http://176.65.139.115:8081/cdn/content/system-sync.apk
- http://176.65.139.143:8081/cdn/content/bins.sh
- http://176.65.139.143:8081/cdn/content/system-sync.apk
- http://176.65.139.173:1337/
- http://176.65.139.182/phantom.sh
- http://176.65.139.188/po4/android.sh
- http://176.65.139.26/AV7
- http://176.65.139.54/starter.sh
- http://176.65.139.54:1004/starter.sh
- http://176.65.139.64/ohshit.sh
- http://176.65.139.79/bins/parm
- http://176.65.139.79/bins/parm5
- http://176.65.139.79/bins/parm7
- http://176.65.139.90:2222
- http://176.65.148.37/peer.apk
- http://192.109.200.47/archwinuxuwu
- http://192.109.200.47/heptagon
- http://192.109.200.47/m2nladyboy5p7q9r4s6t8v1
- http://192.109.200.47/w3x6y9z1heptagona4b7c2d5
- http://193.25.217.35/67arm
- http://195.178.110.204/a
- http://195.178.110.204/adb
- http://205.237.106.27:1337
- http://205.237.106.27:2222
- http://37.16.74.24:1337
- http://37.16.74.24:1337/
- http://37.49.224.15/shivermefuckingtimbersmotherfuckers/arm7
- http://37.49.229.42/2birdskissingonabridge/arm7
- http://45.13.239.7:8000/peer.apk
- http://45.153.34.26/woof
- http://45.202.247.123/armv6l
- http://45.202.247.123/run.sh
- http://5.189.129.198/meow
- http://62.84.172.147:1337
- http://66.29.156.104:5000/PUBG.armv7l?password=95qj059weqj05w9
- http://83.168.110.191/cat.sh
- http://83.168.110.191/iran.aarch64
- http://83.168.110.191/iran.armv5l
- http://83.168.110.191/iran.armv7l
- http://83.168.110.191/iran.x86_64
- http://83.168.110.191/run.sh
- http://85.204.125.76/c.sh
- http://85.204.125.76/w.sh
- http://85.204.125.76/wget.sh
- http://85.239.151.41/bbcl
- http://85.239.151.41/bwwg
- http://85.239.151.41/ccl
- http://85.239.151.41/wwg
- http://87.121.84.18/ladyboy
- http://87.121.84.243/nuclear.arm7
- http://87.121.84.27/heptagon
- http://87.121.84.27/ladyboy
- http://92.112.126.188/bins/parm7
- http://92.112.126.188:2222
- http://92.112.126.188:443
- http://94.156.152.234/bins.sh
- http://94.249.228.214:1337
- http://bots.ftp.sh:8080/payload/pyh1cz04s6mp/05zj9w.sh
- http://lunaris.to/asdgasdgasd/gasdgasd
- https://new-flsdf.keironellison.online/ladyboy
